FirmaLocal
Firmar un PDF

Exportar certificado digital en Chrome y Edge

Cómo exportar el certificado digital desde Chrome o Edge en Windows con su clave privada: ruta exacta, certmgr.msc, usuario actual o equipo local, Mac y Linux.

Actualizado el

Buscas «exportar certificado digital Chrome» porque el certificado está en Chrome, funciona en las sedes y quieres sacarlo a un archivo. La primera noticia es que, en Windows, Chrome no tiene almacén propio: lo que hace el botón de certificados de Chrome es abrir el almacén de Windows. Lo mismo hace Edge. Así que el proceso es uno solo, el del asistente de exportación de Windows, y esta guía lo recorre con las rutas exactas de Chrome, Edge y certmgr.msc, aclara la duda de «usuario actual o equipo local» y termina con lo que cambia si tu Chrome está en un Mac o en Linux.

Si lo que quieres es la visión general —por qué exportar, formatos, qué hacer con el archivo después—, está en Exportar certificado FNMT a .p12. Esta página es el detalle para Chrome y Edge.

Chrome y Edge no tienen almacén propio en Windows

Cuando descargaste el certificado desde Chrome o desde Edge, se instaló en el almacén de certificados de Windows, en la carpeta «Personal» de tu cuenta de usuario. Chrome, Edge, Autofirma y el propio Windows leen esa misma carpeta. Por eso:

  • Un certificado que ves en Chrome lo verás también en Edge, y al revés. No hace falta «exportarlo de Chrome a Edge».
  • Firefox es la excepción: tiene su propio almacén y no ve nada de lo anterior. Si tu certificado está en Firefox, la guía es Exportar certificado digital desde Firefox.
  • El asistente que aparece al pulsar «Exportar» es siempre el de Windows, aunque lo hayas abierto desde Chrome.

Exportar certificado digital desde Chrome en Windows 11, paso a paso

Según la FAQ 1501 de la FNMT, la ruta en Chrome es Configuración → Privacidad y seguridad → Seguridad → Gestionar certificados. En las versiones actuales de Chrome esa pantalla es el gestor de certificados propio de Chrome (chrome://certificate-manager), y dentro hay un botón «Gestionar certificados importados desde Windows» que abre el diálogo «Certificados» de Windows. Si tu Chrome muestra directamente el diálogo de Windows, es que es una versión anterior; el resto es idéntico.

  1. En el diálogo «Certificados», pestaña Personal, selecciona el certificado a tu nombre (en los de la FNMT, «Emitido por: AC FNMT Usuarios») y pulsa Exportar.
  2. Se abre el Asistente para exportación de certificados. Pulsa Siguiente.
  3. Marca «Sí, exportar la clave privada». Si esta opción aparece en gris, ve al apartado de más abajo antes de seguir.
  4. Deja el formato «Intercambio de información personal: PKCS #12 (.PFX)». Puedes marcar «Incluir todos los certificados en la ruta de certificación si es posible»; no marques «Eliminar la clave privada si la exportación es correcta», porque borraría el certificado de este equipo.
  5. Marca Contraseña, escríbela dos veces y, en «Cifrado», elige AES256-SHA256. La opción antigua, TripleDES-SHA1, solo tiene sentido si vas a importar el archivo en un Windows muy viejo.
  6. Pulsa Examinar, elige carpeta y nombre, Siguiente y Finalizar. Windows confirma «La exportación se realizó correctamente».

Obtienes un archivo .pfx. Es exactamente lo mismo que un .p12 y puedes renombrarlo si un programa te pide esa extensión; el detalle está en Qué es un archivo .p12 o .pfx.

Exportar certificado desde Edge

En Edge la ruta es más corta: abre el menú de los tres puntos → Configuración, escribe «Certificados» en el buscador de ajustes y pulsa «Administrar certificados» (FAQ 1551 de la FNMT). Se abre el mismo diálogo «Certificados» de Windows, con la pestaña Personal ya seleccionada, y el asistente es el mismo de arriba desde el paso 1.

Si al marcar «Exportar la clave privada» Edge responde «Error en la exportación. Tipo especificado no es válido», el certificado está en una tarjeta (DNIe u otra tarjeta criptográfica) y la clave privada no sale del chip: lo dice la FAQ 1359 de la FNMT. Para tener un archivo tendrás que solicitar un certificado software.

certmgr.msc: el camino directo

No hace falta pasar por ningún navegador. Pulsa Windows + R, escribe certmgr.msc y pulsa Intro. Se abre la consola «Certificados - Usuario actual»: despliega Personal → Certificados, haz clic derecho sobre el tuyo → Todas las tareas → Exportar y sigue el asistente desde el paso 2. Es útil cuando Chrome o Edge no muestran el botón por alguna política de empresa, y también para comprobar de un vistazo si el certificado tiene clave privada: al abrirlo con doble clic, al pie de la pestaña General debe decir «Tiene una clave privada correspondiente a este certificado».

«Usuario actual» o «Equipo local»: dónde está tu certificado

Windows tiene dos almacenes distintos, y el asistente de importación pregunta por ellos. Un certificado descargado desde el navegador va siempre al almacén del usuario actual, que es el que abren Chrome, Edge y certmgr.msc. El almacén del equipo local (certlm.msc) es para servicios del sistema y necesita permisos de administrador; un certificado de persona física no debería estar ahí.

Dos consecuencias prácticas:

  • Si no ves el certificado en Chrome, comprueba con qué cuenta de Windows has iniciado sesión. Los almacenes de usuario son por cuenta: lo que importó tu pareja o el administrador del equipo no aparece en la tuya. El resto de causas por las que Chrome no lo ofrece están en El certificado digital no aparece en Chrome.
  • Si alguien lo importó en «Equipo local» siguiendo un tutorial equivocado, ábrelo con certlm.msc (te pedirá permisos de administrador) y expórtalo desde ahí con el mismo asistente. Después impórtalo en tu usuario.

«Sí, exportar la clave privada» sale en gris

Es la pregunta que más consultas genera y la respuesta es corta: si la opción está desactivada, la clave se marcó como no exportable al generarla o al importarla, y ni el asistente ni certmgr.msc ni PowerShell la van a entregar. Las causas, lo que sí puedes hacer y por qué no conviene fiarse de las herramientas que prometen «extraerla» están en Clave privada no exportable. El resumen: si conservas el .pfx o .p12 original, ya tienes tu copia; si no, toca solicitar el certificado de nuevo.

Un caso aparte: exportar sin clave privada sí está permitido siempre. Obtienes un .cer que muestra tu nombre y parece correcto, pero no sirve para firmar. La FNMT lo advierte en su FAQ 1320: si al importar «la copia» aparece en «Otras personas» en lugar de en «Personal», es que se exportó sin clave.

Exportar certificado digital desde Chrome en Mac

En un Mac, Chrome tampoco tiene almacén propio: usa el Llavero de macOS, igual que Safari. «Gestionar certificados» en Chrome abre Acceso a Llaveros, y la exportación se hace desde ahí: Mis certificados → Archivo → Exportar ítems → formato .p12. Los pasos, los diálogos de contraseña y el caso en que «Exportar ítems» sale en gris están en Exportar certificado digital en Mac.

Exportar certificado desde Chrome en Linux

Aquí sí cambia: en Linux, Chrome guarda los certificados en su propia base de datos NSS (~/.pki/nssdb), no en el sistema. Según la FAQ 1381 de la FNMT, la ruta es Configuración → Privacidad y seguridad → Seguridad → Gestionar certificados → pestaña «Tus certificados» → Exportar; Chrome pide una contraseña para el archivo y genera un .p12. Desde la terminal, con las herramientas de NSS:

certutil -L -d sql:$HOME/.pki/nssdb
pk12util -o certificado.p12 -n "Nombre del certificado" -d sql:$HOME/.pki/nssdb

La primera orden lista los nombres; la segunda exporta. Ten en cuenta que Autofirma en Linux no lee ese almacén de Chrome, solo el de Firefox; si ese es tu problema, Autofirma no reconoce mi certificado.

El archivo que obtienes, y qué hacer con él

Un .pfx con contraseña es tu certificado completo: quien tenga el archivo y la contraseña puede firmar en tu nombre. Guárdalo cifrado, con una copia en un segundo sitio, y no lo mandes por correo ni por mensajería sin cifrar. Y si tu intención al exportarlo era llevarlo a otro ordenador, no hace falta que lo instales en ningún navegador para firmar un PDF. Qué contiene exactamente ese archivo .p12 o .pfx y cómo abrirlo sin instalarlo por accidente lo explicamos aparte.

Firmar con el archivo, sin instalarlo

FirmaLocal acepta el .pfx o .p12 tal cual: cargas el archivo, escribes la contraseña que acabas de poner, eliges el PDF y descargas el documento con firma PAdES-B-B. Todo se calcula dentro de tu navegador; ni el archivo ni la contraseña salen del equipo, así que sirve también como prueba de que la exportación ha salido bien. Firma tu PDF ahora. Después puedes comprobar el resultado en VALIDe, el validador de la Administración.

Dos límites que conviene saber: FirmaLocal firma con certificados software (archivo .p12/.pfx), no con el DNIe ni con tarjetas, y no sirve para los trámites que exigen firmar dentro de la propia sede. Para saber cuándo un PDF firmado fuera de la sede se acepta, ¿Lo aceptará la sede?.

Fuentes

FirmaLocal genera firmas electrónicas avanzadas basadas en certificado cualificado (PAdES-B-B), la misma clase de firma que produce Autofirma con un certificado software. No sustituye a la firma con DNIe ni a la autenticación dentro de una sede electrónica. FirmaLocal no presta asesoramiento jurídico.